Analysis
-
max time kernel
151s -
max time network
151s -
platform
windows10-2004_x64 -
resource
win10v2004-20220812-en -
resource tags
arch:x64arch:x86image:win10v2004-20220812-enlocale:en-usos:windows10-2004-x64system -
submitted
24-11-2022 00:07
Static task
static1
Behavioral task
behavioral1
Sample
2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe
Resource
win7-20220901-en
Behavioral task
behavioral2
Sample
2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe
Resource
win10v2004-20220812-en
General
-
Target
2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe
-
Size
192KB
-
MD5
35061731f0dbf6ff199340479a7c524c
-
SHA1
96007fbc2c5214b010307d116c95a9ba9ad09690
-
SHA256
2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795
-
SHA512
530b96081e10e96d857da5c5df23b35b4812ae965ef1b76016d546e63c46d640bebe20a89dac6114477cb0d49d5d8ba1674b525532e6aa6cf6ba56d3d20f1765
-
SSDEEP
1536:CNcd2Oabfaaaaat031AdQWB5kCFrWszRUOHFlQhzyLwVKftfVBiZHAPloFp5A2mE:kOkVW3kCFrWsF2eLbqx2994sU6G
Malware Config
Signatures
-
Modifies visiblity of hidden/system files in Explorer 2 TTPs 2 IoCs
Processes:
2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exekeusee.exedescription ioc process Set value (int) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" 2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe Set value (int) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" keusee.exe -
Executes dropped EXE 1 IoCs
Processes:
keusee.exepid process 1744 keusee.exe -
Checks computer location settings 2 TTPs 1 IoCs
Looks up country code configured in the registry, likely geofence.
Processes:
2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exedescription ioc process Key value queried \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\Control Panel\International\Geo\Nation 2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe -
Adds Run key to start application 2 TTPs 29 IoCs
Processes:
keusee.exe2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exedescription ioc process Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /d" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /z" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /f" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /i" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /j" 2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /t" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /l" keusee.exe Key created \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\Software\Microsoft\Windows\CurrentVersion\Run\ 2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /v" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /o" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /s" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /q" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /k" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /r" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /w" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /x" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /m" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /b" keusee.exe Key created \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\Software\Microsoft\Windows\CurrentVersion\Run\ keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /a" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /g" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /e" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /c" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /p" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /n" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /h" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /u" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /y" keusee.exe Set value (str) \REGISTRY\USER\S-1-5-21-2629973501-4017243118-3254762364-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\keusee = "C:\\Users\\Admin\\keusee.exe /j" keusee.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 64 IoCs
Processes:
2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exekeusee.exepid process 4648 2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe 4648 2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe 1744 keusee.exe -
Suspicious use of SetWindowsHookEx 2 IoCs
Processes:
2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exekeusee.exepid process 4648 2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe 1744 keusee.exe -
Suspicious use of WriteProcessMemory 3 IoCs
Processes:
2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exedescription pid process target process PID 4648 wrote to memory of 1744 4648 2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe keusee.exe PID 4648 wrote to memory of 1744 4648 2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe keusee.exe PID 4648 wrote to memory of 1744 4648 2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe keusee.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe"C:\Users\Admin\AppData\Local\Temp\2e95e79eeac4fe2208cc3f0d0f063b8681ec9afde324d503489b42d802d61795.exe"1⤵
- Modifies visiblity of hidden/system files in Explorer
- Checks computer location settings
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
-
C:\Users\Admin\keusee.exe"C:\Users\Admin\keusee.exe"2⤵
- Modifies visiblity of hidden/system files in Explorer
- Executes dropped EXE
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
C:\Users\Admin\keusee.exeFilesize
192KB
MD5cfc92f6e4c6fb0b0a6302980c335aa70
SHA1018da25fad7711d8758808637beaecbb944f3c2b
SHA256258a6ebb40f021de4e2c5d1bce29a269b1e31ca4925f7f7aeb668e9c7ec88edf
SHA512b1585a80d21c6b806f06503e0ad695604cc246291bcf8a525aae1e31f2812bed581521970e9b11db08de622593b62344d6b6ab02a969de1b0bc50ac15e690cf7
-
C:\Users\Admin\keusee.exeFilesize
192KB
MD5cfc92f6e4c6fb0b0a6302980c335aa70
SHA1018da25fad7711d8758808637beaecbb944f3c2b
SHA256258a6ebb40f021de4e2c5d1bce29a269b1e31ca4925f7f7aeb668e9c7ec88edf
SHA512b1585a80d21c6b806f06503e0ad695604cc246291bcf8a525aae1e31f2812bed581521970e9b11db08de622593b62344d6b6ab02a969de1b0bc50ac15e690cf7
-
memory/1744-134-0x0000000000000000-mapping.dmp